러시아 APT28의 LLM 악성코드 LAMEHUG: 명령을 AI에게 받아 실행한다

무슨 일이 일어났나

우크라이나 침해대응팀 CERT-UA는 2025년 7월 17일, LLM(대규모 언어 모델)을 쓰는 악성코드 LAMEHUG를 공개했습니다. CERT-UA는 이 공격을 러시아 해킹 그룹 APT28(UAC-0001, Fancy Bear로도 불림)의 소행으로 보지만, 확신 수준은 "중간"이라고 밝혔습니다.

CERT-UA가 신고를 받은 날은 7월 10일입니다. 관련 부처 담당자를 사칭한 메일이 행정기관에 퍼졌고, 첨부 파일 Додаток.pdf.zip('첨부.pdf.zip') 안에 PyInstaller로 만든 .pif 실행 파일이 들어 있었습니다. 메일은 침해된 계정에서 발송됐고, 명령 서버도 해킹된 정상 사이트 위에 차려져 있었습니다.

Google 위협 인텔리전스 그룹(GTIG)은 2025년 11월 보고서에서 같은 악성코드를 PROMPTSTEAL이라 부르며, 러시아 정부 지원 그룹 APT28이 6월 우크라이나를 상대로 쓴 것을 확인했다고 밝혔습니다. GTIG는 APT28의 PROMPTSTEAL 사용이 실제 작전에 쓰인 LLM 호출 악성코드를 GTIG가 처음 관찰한 사례라고 밝혔습니다.

LAMEHUG의 작동 방식

기존 악성코드는 실행할 명령을 코드 안에 미리 넣어 둡니다. LAMEHUG는 명령 대신 작업 설명(텍스트)을 넣어 두고, 실행 중에 LLM에게서 명령을 받아 냅니다.

단계	내용
초기 침투	침해된 계정에서 보낸 피싱 메일, ZIP 첨부 속 실행 파일
위장	`.pif` 파일, `AI_generator_uncensored_Canvas_PRO_v0.9.exe` 같은 AI 이미지 생성기
명령 생성	Hugging Face API로 Qwen 2.5-Coder-32B-Instruct 모델에 작업 설명을 보내 Windows 명령을 받음
정보 수집	하드웨어·프로세스·서비스·네트워크·AD 도메인 정보를 `%PROGRAMDATA%\info\info.txt`에 저장
문서 수집	문서·다운로드·바탕화면 폴더에서 Office 문서·TXT·PDF를 찾아 복사
유출	버전에 따라 SFTP 또는 HTTP POST로 전송

GTIG에 따르면 PROMPTSTEAL은 이미지 생성 프로그램처럼 사용자에게 질문을 던지며 화면을 진행시킵니다. 그사이 백그라운드에서 Hugging Face API로 명령을 받아 실행합니다.

비유하자면, 기존 악성코드가 "미리 짠 지도대로 움직이는 로봇"이라면 LAMEHUG는 "할 일 목록을 들고 가서 그때그때 AI에게 방법을 묻는 로봇"입니다. 다만 할 일 목록은 공격자가 미리 써 두었습니다.

왜 주목받나

명령이 샘플 안에 없습니다. 실행할 명령을 실행 시점에 LLM이 만들기 때문에, 샘플에 박힌 명령 문자열만 보는 탐지는 놓치기 쉽습니다.
정상 서비스를 거칩니다. LLM 호출이 Hugging Face라는 정상 AI 플랫폼의 API로 나갑니다. AI 서비스를 업무에 쓰는 조직이라면 평범한 트래픽과 구분하기 어렵습니다.
아직은 초기 단계입니다. CERT-UA 분석상 프롬프트는 정해진 텍스트이고, 하는 일도 정찰과 문서 수집에 머뭅니다. 네트워크 안에서 스스로 경로를 고르거나 파괴 시점을 정하는 기능은 보고되지 않았습니다. GTIG는 이런 방식이 아직 초기지만 더 자율적이고 적응적인 악성코드로 가는 의미 있는 걸음이라고 평가했습니다.

우크라이나를 노리는 사이버 공격

우크라이나 국가특수통신·정보보호국(SSSCIP)은 2025년 상반기 사이버 사고를 3,018건으로 집계했습니다. 2024년 하반기 2,575건보다 약 17% 늘었습니다. 같은 기간 보고서에서 CERT-UA는 UAC-0219 그룹이 AI로 PowerShell 스크립트를 만든 것으로 보인다고도 짚었습니다.

우크라이나 의회는 2025년 10월 9일 사이버군 창설 법안(12349호)을 1차 독회에서 통과시켰습니다. 군의 사이버 공격·방어 역량을 한 지휘 체계로 묶는 내용입니다. CSIS에 따르면 법이 되려면 2차 표결과 대통령 서명이 더 필요합니다.

방어 측의 대응

첨부 실행 파일 차단: ZIP 안의 .pif·.exe처럼 문서로 위장한 실행 파일을 메일 게이트웨이에서 막습니다. 아는 기관 계정에서 온 메일이라도 첨부 실행 파일은 의심합니다.
AI API 트래픽 모니터링: 업무용으로 허가되지 않은 단말에서 Hugging Face 같은 외부 AI API로 나가는 트래픽을 감시합니다. 승인한 AI 서비스 목록을 정해 두면 이상 호출이 눈에 띕니다.
행동 기반 탐지(EDR) 강화: 명령 문자열이 아니라 행동 패턴으로 잡습니다. systeminfo·tasklist·dsquery 같은 정찰 명령을 한꺼번에 돌려 결과를 한 파일에 모으는 동작이 대표적입니다.
IOC 반영: CERT-UA가 공개한 파일 해시, %PROGRAMDATA%\info\ 경로, 명령 서버 주소를 탐지 규칙에 넣습니다.
위협 인텔리전스 공유: 새 전술·기법(TTP)과 IOC를 CERT-UA, CISA 등과 실시간으로 공유합니다.

참고 자료